NIS2 — essentiële en belangrijke entiteiten

• Directive (EU) 2022/2555 — NIS2, Art. 26

Wie moet aanwijzen

DNS-providers, TLD-registries, cloud computing en datacenterdiensten, CDN's, beheerde service- en beheerde beveiligingsdienstverleners, online marktplaatsen, zoekmachines en sociale platforms die niet in de Unie zijn gevestigd maar diensten daarin aanbieden.

Drempels en vrijstellingen

Over het algemeen entiteiten met 50 of meer medewerkers of €10 miljoen omzet, maar sommige digitale infrastructuurproviders zijn gedekt ongeacht de grootte.

Wat op het etiket moet

Geen etiketteringsverplichting. De entiteit moet geregistreerd zijn bij de autoriteit van de lidstaat waar de vertegenwoordiger is gevestigd.

Marktplaatsvelden

Niet van toepassing, maar inkoop door ondernemingen vraagt nu routinematig of de leverancier NIS2-geregistreerd is.

Documentatie die u moet bewaren

Risicobeheermaatregelen, procedures voor incidentafhandeling, beleid voor de beveiliging van de toeleveringsketen, bedrijfscontinuïteitsplan en het registratiebewijs.

Normen en tests

Niet van toepassing, hoewel audits kunnen worden opgelegd aan essentiële entiteiten.

Taalvereisten

Rapportage in de taal die door de betrokken CSIRT wordt geaccepteerd.

Vanaf wanneer

Vroegtijdige waarschuwing binnen 24 uur na een significant incident, incidentmelding binnen 72 uur en een eindrapport binnen een maand.

Bewaartermijn

Voor de duur van de registratie.

Bij niet-naleving

Tot €10 miljoen of 2% van de wereldwijde omzet voor essentiële entiteiten, en het management kan in verschillende lidstaten persoonlijk aansprakelijk worden gesteld.

Wie handhaaft

Nationale bevoegde autoriteiten en CSIRTs.

Waar de grens ligt

NIS2-rapportage en CRA Artikel 14 rapportage zijn aparte verplichtingen met verschillende triggers: NIS2 gaat over incidenten die uw dienst beïnvloeden, CRA gaat over kwetsbaarheden in uw product.

Veelgestelde vragen

We zijn een kleine SaaS met EU-klanten — vallen we onder de reikwijdte?

Alleen als u valt onder een van de vermelde sectoren en voldoet aan de groottecriteria, of u bent een digitale infrastructuurprovider die ongeacht de grootte gedekt is.